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Abhörpuppen - Datenschutz im Kinderzimmer 


Vorbemerkung der Fragesteller 

Im Jahr 2015 wurden allein auf dem deutschen Spielwarenmarkt 3 Milliarden 
Euro umgesetzt (Eurotoys, Statista 2016). Kinder und ihre Wünsche haben ei- 
nen enormen Einfluss auf das Konsumverhalten ihrer Eltern. Sie bestimmen 
heute maßgeblich mit, wie das frei verfügbare Familieneinkommen ausgegeben 
wird, und sie haben selbst immer größere finanzielle Mittel zu ihrer freien Ver- 
fügung. Das Taschengeld von Kindern beträgt derzeit im Mittel 26,35 Euro im 
Monat. Darüber hinaus erhalten viele Kinder zu Weihnachten und zum Geburts- 
tag noch Geldgeschenke in Höhe von durchschnittlich 170 Euro pro Jahr (Kids 
Verbraucher Analyse, Statista 2016). Für Spielwarenhersteller und andere Un- 
ternehmen stellen Kinder daher eine außerordentlich kaufkräftige und damit be- 
sonders interessante Zielgruppe dar. 

Dabei macht auch die fortschreitende Digitalisierung unserer Lebensverhält- 
nisse - mit allen Chancen und Risiken - vor den Kinderzimmertüren nicht halt. 
Mehr als jedes dritte Kind hat ein „Lieblingsspielzeug“, das aus dem Mobil-, 
Computer- oder Konsolenbereich kommt (iconkids & youth, Statista 2016), und 
neuartiges, vernetztes Spielzeug erobert den Markt. Diese Neuerungen werfen 
jedoch auch Datenschutzfragen auf 

Die Unternehmen Vivid Deutschland GmbH und Match GmbH vertreiben seit 
neuestem z. B. sprechende und hörende Puppen mit harmlos klingenden Namen 
wie „Hello Barbie“ oder „My friend Cayla“. Während „Hello Barbie“ bislang 
nur in den USA vermarktet wird, ist die Puppe „My friend Cayla“ seit letztem 
Jahr in Deutschland erhältlich. Sie richtet sich an Kinder im Alter zwischen 4 
und 10 Jahren. Mittels Mikrofon und drahtloser Intemetverbindung nimmt Ca- 
yla alle Gespräche in ihrer Umgebung auf und überträgt die Daten dann an die 
Server des Drittuntemehmens ToyQuest Limited mit Sitz in Hong Kong, China. 
Dort werden die Daten verarbeitet und - wenn Cayla angesprochen wurde - 
eine „passende“ Antwort entworfen. Die Puppe wird als Gesprächspartner für 
Kinder beworben. 

Die nur im Internet abrufbaren Datenschutzbestimmungen zu Cayla erlauben es 
dem Unternehmen ToyQuest Limited, die „Audiodateien von den Stimmen der 
Nutzer, entsprechende Transkriptionen und/oder in Zusammenhang mit der 
Nutzung der App entstandene Log Files“ (http;//myfriendcayla.de/datenschutz) 


Die Antwort wurde namens der Bundesregierung mit Sehreiben des Bundesministeriums des Innern vom 29. April 2016 
übermittelt. 

Die Drucksache enthält zusätzlich — in kleinerer Schrifttype - den Fragetext. 
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an Drittunternehmen weiterzuleiten. Eines dieser Drittuntemehmen ist dabei das 
zum Amazon-Konzern gehörende Unternehmen Ivona Software. Dieses behält 
sich wiederum vor, „to evaluate and profile Customers, including customer pref- 
erences and purchasing trends, which we may use for marketing purposes and 
in respect of operations and development“ (www.ivona.com/us/privacy-policy/ 
#head2). Es ist daher zu befürchten, dass die aus den vermeintlich privaten 
„Kinderzimmergesprächen“ gewonnenen Daten bereits jetzt oder künftig zu 
Werbe- und Marktforschungszwecken genutzt werden. Die Konzerne können 
die so gewonnenen Verhaltensdaten nutzen und verkaufen. Die Kinder werden 
dadurch vom Verbraucher zum Produkt degradiert. 

Auch bei Spielzeug, das per App gesteuert wird, können Daten von Unterneh- 
men gesammelt und weitergegeben werden. So hat die Stiftung Warentest für 
den Spielzeug-Roboter Sphero BB-8 festgestellt, dass die Software, die eigent- 
lich nur das Spielzeug fernsteuem soll, unnötige Daten erfragt und diese an 
Dritte weitergibt. So werden neben detaillierten Angaben zu dem Mobilgerät, 
auf dem die App läuft, auch die E-Mail-Adresse und das Alter des Nutzers an 
Dritte gesendet (www.test.de/Spielzeug-Roboter-Sphero-BB-8-Niedlich-aber- 
zu-neugierig-497 1 623-0/). 

Wie attraktiv für Dritte und wie schwer gegen ungewollten Zugriff zu schützen 
die Daten von „vernetztem Spielzeug“ sind, zeigt auch ein Hackerangriff auf 
das Unternehmen VTech Electronics Europe GmbH (www.spiegel.de/netzwelt/ 
gadgets/vtech-spielzeug-daten-von-eltem-und-kinder-erbeutet-a- 1 065 1 82.html). 
Der Hersteller von Kindertablets und Lernsoftware aus China musste im No- 
vember 2015 eingestehen, dass Hacker die bei VTech Electronics Europe 
GmbH gespeicherten Daten von mehr als 200 000 Kindern erbeutet hatten. Als 
Konsequenz hieraus änderte VTech Electronics Europe GmbH jüngst seine eng- 
lischen Datenschutzbestimmungen. Darin heißt es jetzt sinngemäß, dass es sein 
könne, dass Dritte an die Daten gelangen (www.spiegel.de/netzwelt/gadgets/ 
vtech-aerger-ueber-neue-agb-des-spielzeugherstellers-a-1076806.html). Dies ist 
kein angemessenes Datenschutzniveau für sensible „Kinderzimmerdaten“. 


Vorbemerkung der Bundesregierung 

Die Bundesregierung geht davon aus, dass sich die Fragen 7 bis 13 der Kleinen 
Anfrage auf ein konkretes Produkt, die Puppe „My friend Cayla“ des Spielzeug- 
anbieters ToyQuest, beziehen. 

Bei der Beantwortung der Fragen wird für die Funktionsweise der Puppe und die 
damit verbundene Datenerhebung, -Verarbeitung und -nutzung von der Sachver- 
haltsdarstellung ausgegangen, wie sie der von den Fragestellern in Bezug genom- 
menen Datenschutzerklärung des Spielzeuganbieters ToyQuest (Stand: 2014, 
http://myfriendcayla.de/datenschutz) entnommen werden kann. 


1 . Teilt die Bundesregiemng die Auffassung, dass Kinder besonders verletzli- 
che und außerordentlich schutzwürdige Verbraucher sind, für die der Staat 
eine besondere Verantwortung trägt? 

Die Verbraucherpolitik der Bundesregierung ist geleitet von einem differenzier- 
ten Verbraucherbild. Dieses berücksichtigt, dass Bedürfnisse, Interessen, Wissen 
und Verhalten der Verbraucher je nach Markt variieren. Um den unterschiedli- 
chen Interessen, Kenntnissen und Bedürfnissen der Verbraucherinnen und Ver- 
braucher verstärkt Rechnung zu tragen und damit die Teilhabe aller Verbrauche- 
rinnen und Verbraucher am Markt zu ermöglichen, berücksichtigt die Bundesre- 
gierung gezielt die Belange von besonderen Verbrauchergruppen in der Verbrau- 
cherpolitik. 
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Die Bundesregierung sieht Kinder wegen ihrer Minderjährigkeit in einer Vielzahl 
von Situationen als verletzliche und schutzbedürftige Verbraucherinnen und Ver- 
braucher an. 


2. Welche Maßnahmen hat die Bundesregierung bisher unternommen, um 
Eltern für die Risiken, die mit zuvor beschriebenen Spielzeug verbunden 
sind, zu sensibilisieren? 

3. Was tut die Bundesregierung konkret, um auf das neuartige, vernetzte Spiel- 
zeug zu reagieren? 

4. Was tut die Bundesregierung, um die Privat- und Intimsphäre von Kindern, 
die vernetztes Spielzeug benutzen, vor Ausforschungen durch Unternehmen 
zu Marktforschungszwecken zu schützen? 

5. Wie kontrolliert sie den Erfolg dieser Bemühungen? 

Die Fragen 2 bis 5 werden zusammenhängend beantwortet. 

Bei digitalen Produkten und Diensten und damit auch bei vernetzten Geräten mit 
digitalen Funktionalitäten ist es für die Bundesregierung unabdingbar, dass die 
Verbraucherrechte gewahrt werden und Schutz und Sicherheit für alle Befeiligfen 
gewährleisfef sind. Dies gilf insbesondere für Produkfe, die sich an Kinder als 
besonders verlefzliche und schufzwürdige Verbraucher richfen. 

Bei einer vemefzfen Puppe, die Gespräche aufhimmf und an das Spielzeugunfer- 
nehmen oder Driffe überfrägf, sind sensible Informafionen aus dem persönlichen 
Umfeld und damit der Kembereich privater Lebensführung befroffen. Flier müs- 
sen der Schufz der Privafsphäre, das Rechf auf informationeile Selbstbestimmung 
und die Datensouveränität gewährleistet sein. Eine verständliche und umfassende 
Information der Verbraucher ist dafür unabdingbar. Die Bundesregierung tritf 
deshalb insbesondere dafür ein, dass bei allen digifalen Angebofen - so auch bei 
vemefzfen Spielgeräfen — Verbraucherinnen und Verbraucher die Konfroll- und 
Sfeuerungsmöglichkeifen erhaben und damif selbsf über die Dafenverarbeifung 
enfscheiden können. Bei einer Kinder betreffenden Datenverarbeitung ist die Ein- 
willigung in eine Verarbeitung je nach Einzelfall, Alter und Spielzeug grandsätz- 
lich durch die Eltern zu erteilen. 

Die EU-Datenschutzgrandverordnung (DSGVO), die voraussichtlich ab Mitte 
20 1 8 anwendbar sein wird, sieht einige besondere Schutzregeln für Kinder vor. 

Mit dem aus Bundesmitteln geförderten Marktwächter Digitale Welt, der zur Auf- 
gabe hat, die digitalen Märkte zu beobachten und zu analysieren, Missstände an 
die Aufsichtsbehörden zu melden, die Politik zu beraten und die Verbraucherin- 
nen und Verbraucher zu informieren, hat die Bundesregiemng neben der etablier- 
ten Aufsicht ein effektives Instrumentarium zur Beobachtung des Marktgesche- 
hens geschaffen, auch soweit es um digitale Angebote an Kinder geht. Verbrau- 
cherbeschwerden aus den mnd 200 Beratungsstellen der Verbraucherzentralen 
und empirischen Untersuchungen helfen dem Marktwächter dabei, auch verbrau- 
cherschützende Aspekte vernetzten Spielzeugs in seine Betrachtungen einzube- 
ziehen. 

Zur Stärkung der Rechtsdurchsetzung im Verbraucherdatenschutz wurde am 
23. Febraar 2016 das Gesetz zur Verbesserang der zivilrechtlichen Durchsetzung 
von verbraucherschützenden Vorschriften des Dafenschufzrechfs verkündef. 
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Zum besseren Schutz der Rechte der Verbraucher können seither neben den be- 
troffenen Verbrauchern und den Datenschutzaufsichtsbehörden auch Verbände 
und Kammern gegen die unzulässige Erhebung, Verarbeitung oder Nutzung von 
Verbraucherdaten durch Unternehmer Vorgehen. 

Daneben fördert die Bundesregierung Projekte zur Stärkung der digitalen Kom- 
petenzen der Verbraucherinnen und Verbraucher für Fragen des Schutzes und der 
Sicherheit im Internet, auch soweit es um Angebote für Kinder und Jugendliche 
geht. 

Die Entwicklung digitaler Medienprodukte und die zunehmende Präsenz von Me- 
dien im Familienalltag erfordern eine bewusste Medienerziehung in Familien. 
Der u. a. aus Bundesmitteln finanzierte Erziehungsratgeber „Schau Hin! Was 
Dein Kind mit Medien macht.“ informiert Eltern und Erziehende über aktuelle 
Entwicklungen am Medienmarkt und bietet Familien Orientierung im Umgang 
mit Medien. Im Dezember 2015 wurde auf www.schau-hin.info eine Meldung 
zum Thema elektronisches und vernetztes Spielzeug veröffentlicht. 


6. Welche Erkenntnisse hat die Bundesregierung über den Markt mit vernetz- 
tem Spielzeug in Deutschland? 

Welche Produkte werden bereits in Deutschland verkauft, wie sind die Ver- 
kaufszahlen? 

Der Bundesregierung liegen hierzu keine Erkenntnisse vor. 


7. a) Hält die Bundesregiemng die Einverständniserklämng von Eltern zur 
Aufnahme, Verarbeitung und Speicherung der „Gespräche“ ihres Kindes 
mit einer vernetzten Puppe durch Drittuntemehmen für wirksam? 

Die Einverständniserklärung gegenüber dem Spielzeuganbieter ToyQuest kann 
wirksam sein, wenn die Voraussetzungen des § 4a des Bundesdatenschutzgeset- 
zes (BDSG) erfüllt sind. Nach § 4a BDSG ist eine Einwilligung nur wirksam, 
wenn sie auf der freien Entscheidung der Betroffenen beruht. Die Betroffenen 
sind auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung hin- 
zuweisen. Grundsätzlich bedarf die Einwilligung der Schriftform. Sie kann je- 
doch auch in elektronischer Form abgegeben werden. 

Im Falle der Puppe „My ffiend Cayla“ können die Eltern hierzu im Rahmen der 
online verfügbaren Datenschutzerklärung von ToyQuest eine sog. Checkbox an- 
klicken. 

Die Nutzung der Puppe setzt voraus, dass die Eltern die App eines Drittanbieters 
installieren. Gegenüber diesem Dritten kann die Einverständniserklärung unter 
den Voraussetzungen der §§ 12, 13 des Telemediengesetzes (TMG) wirksam er- 
teilt werden. Dies ist der Fall, wenn der Diensteanbieter die Hinweispflicht des 
§ 1 3 Absatz 3 TMG erfüllt und zudem sicherstellt, dass die Eltern ihre Einwilli- 
gung bewusst und eindeutig erteilen, die Einwilligung protokolliert wird, die El- 
tern den Inhalt der Einwilligung jederzeit abrufen und die Einwilligung jederzeit 
mit Wirkung für die Zukunft widerrufen können (§13 Absatz 2 TMG). 
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b) Falls ja, ist dies nach Auffassung der Bundesregierung auch mittels All- 
gemeiner Geschäftsbedingungen möglich, so wie bei der Puppe „My 
friend Cayla“? 

Nach § 4a BDSG bedarf die Einwilligung grundsätzlich der Schriftform. Wenn 
sie zusammen mit anderen Erklärungen erteilt wird, ist sie gemäß § 4a Absatz 1 
Satz 4 BDSG besonders hervorzuheben. Die Abgabe einer Einwilligungserklä- 
rung ohne gesonderten Hinweis nur durch die Bezugnahme auf die allgemeinen 
Geschäftsbedingungen (AGB) ist daher nach der geltenden Rechtslage nicht zu- 
lässig. 


8. Wie stellt sich die Rechtslage nach Auffassung der Bundesregiemng dar, 
wenn die Spielzeuge auch die Daten von unbeteiligten Dritten erfassen, ver- 
arbeiten und speichern, die nicht wissen, dass ein entsprechendes Spielzeug 
eingeschaltet und im Raum ist und die keine Einverständniserklämng gege- 
ben haben? 

Sowohl nach dem BDSG als auch dem TMG ist eine Datenerhebung nur zulässig, 
wenn eine Rechtsvorschrift dies erlaubt oder eine Einwilligung vorliegt. Fehlt die 
Einwilligung Drifter, ist die Erhebung ihrer Daten mangels Erlaubnisnormen un- 
zulässig. 


9. Welche datenschutzrechtlichen Bestimmungen (Bundesdatenschutzgesetz - 
BDSG, Telemediengesetz - TMG, Telekommunikationsgesetz - TKG usw.) 
kommen nach Auffassung der Bundesregierung für Puppen zum Tragen, die 
ganze Gespräche mitschneiden können? 

Gegenüber dem Spielzeuganbieter ToyQuest kommen insbesondere die für nicht- 
öffentliche Stellen geltenden Erlaubnistatbestände der §§ 28 ff. sowie die Vor- 
schriften über die Betroffenenrechte in §§ 33 ff. BDSG zum Tragen. 

Darüber hinaus sind die Vorschriften des TMG anwendbar, wenn personenbezo- 
gene Daten durch Diensteanbieter im Internet erhoben und verarbeitet werden. 
Die Diensteanbieter unterliegen besonderen Pflichten (insb. Unterrichtungs- 
pflichten sowie technische und organisatorische Sicherstellungspflichten). Perso- 
nenbezogene Daten dürfen ohne Einwilligung nur verarbeitet werden, soweit dies 
für die Inanspruchnahme oder ggf. Abrechnung der Dienstleistung erforderlich 
ist. Die Aufsicht über die Einhaltung der Datenschutzbestimmungen liegt in der 
Zuständigkeit der Datenschutzaufsichtsbehörden der Länder. 


10. Wer sind die datenschutzrechtlich verantwortlichen Stellen für den Einsatz 
solcher Puppen, und in welchem Verhältnis stehen mehrere gleichzeitig Ver- 
antwortliche zueinander? 

Nach § 3 Absatz 7 BDSG ist verantwortliche Stelle jede Person oder Stelle, die 
personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies 
durch andere im Auftrag vornehmen lässt. Für die im Zusammenhang mit dem 
Gebrauch der Puppen erhobenen und verarbeiteten personenbezogenen Daten 
kommen mehrere verantwortliche Stellen in Betracht. Abhängig vom Umfang 
und Zweck der Verarbeitung können dies neben dem Spielzeuganbieter auch An- 
bieter von Diensten bzw. Apps sein. In welchem Verhältnis diese zueinander ste- 
hen, z. B. ob es sich um Auftragsdatenverarbeiter handelt, bedarf einer genauen 
Prüfung im jeweiligen Einzelfall. Diese Prüfung obliegt den dafür zuständigen 
Datenschutzaufsichtsbehörden. 
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Aus der Sachverhaltsdarstellung der Fragesteller ergeben sich keine Anhalts- 
punkte, die im Ergebnis eine datenschutzrechtliche Verantwortlichkeit der Eltern 
im Sinne von § 3 Absatz 7 BDSG begründen könnten. 


1 1 . Wie können nach Auffassung der Bundesregierung Eltern für die in der Re- 
gel nicht einwilligungsfähigen Kinder anstelle der Kinder einwilligen, wenn 
diese zugleich verantwortliche datenverarbeitende Stelle im Sinne der Da- 
tenschutzbestimmungen sind? 

Zur Frage der datenschutzrechtlichen Verantwortlichkeit der Eltern wird auf die 
Antwort zu Frage 1 0, zur Frage der Einwilligung der Eltern für die Kinder auf die 
Antwort zu Frage 7a verwiesen. 


12. Wie stellt sich die Rechtslage nach Auffassung der Bundesregiemng dar, 
wenn das Spielzeug die Gespräche mit Kindern erfasst, verarbeitet und spei- 
chert, deren Eltern nicht in die Nutzung eingewühgt haben? 

Auf die Antwort zu Frage 8 wird verwiesen. 


13. Wie stellt sich die Rechtslage nach Auffassung der Bundesregierung hin- 
sichtlich der Datenschutz-Gmndverordnung dar? 

Sieht die Bundesregiemng hier mögliche Umsetzungsspielräume bei der 
Umsetzung in nationales Recht, und wird sie diese wahmehmen? 

Die verantwortliche Stelle ist in der DSGVO (Artikel 4 Nummer 7) ebenso wie 
in Artikel 2 Buchstabe d der bisher geltenden EU-Datenschutzrichtlinie (Richtli- 
nie 95/46/EG) definiert, die durch § 3 Absatz 7 BDSG umgesetzt worden ist. 

Die DSGVO bringt mit Blick auf den räumlichen Anwendungsbereich der daten- 
schutzrechtlichen Bestimmungen Neuerungen. In Artikel 3 ist nunmehr das sog. 
Marktortprinzip verankert, d. h. das EU-Datenschutzrecht gilt auch für Unterneh- 
men aus Nicht-EU-Staaten, die ihre Dienste oder Waren in der Europäischen 
Union anbieten - unabhängig davon, ob sie in der Europäischen Union eine Nie- 
derlassung haben. Öffhungsklauseln und damit Umsetzungsspielräume enthält 
die DSGVO insoweit nicht. 


14. Hält die Bundesregiemng vor dem Hintergmnd einer Umfrage der Gesell- 
schaft Public Relations Agenturen e. V., der zufolge das Vertrauen von 
90 Prozent der Eltern in Spielzeug davon abhängt, ob dies „ungefährlich“ ist, 
vernetztes Spielzeug, das im Betriebsmodus ständig Daten über sein Umfeld 
an Dritte sendet, für „ungefährlich“? 

Vernetztes Spielzeug ebenso wie andere Produkte, die über das Internet kommu- 
nizieren und dabei unkontrolliert Daten an Dritte senden, gefährden das Recht auf 
informationelle Selbstbestimmung. Diese Produkte unterliegen, wenn die Kom- 
munikation drahtlos erfolgt, zunächst den in der Europäischen Union harmoni- 
sierten Bestimmungen über Funkanlagen. Sie müssen grundlegende Anforderun- 
gen beachten, um auf dem Markt bereitgestellt werden zu können. Dazu gehören 
nach der neuen europäischen Richtlinie 20 1 4/53/EU über die Harmonisierung der 
Rechtsvorschriften der Mitgliedstaaten über die Bereitstellung von Funkanlagen 
auf dem Markt in bestimmten Kategorien oder Klassen, die die Europäische 
Kommission festlegt, auch Sicherheitsvorrichtungen, die sicherstellen, dass per- 
sonenbezogene Daten und die Privatsphäre des Nutzers und des Teilnehmers ge- 
schützt werden. Damit soll gewährleistet werden, dass Daten erforderlichenfalls 
geschützt (verschlüsselt) übermittelt werden. Die Übermittlung von Daten an 
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Diensteanbieter im Internet als solche ist davon aber nicht betroffen, wenn eine 
Funkanlage in Puppen oder anderen Produkten dafür bestimmt ist. Insoweit gel- 
ten die Datenschutzgesetze (vgl. die Antwort zu Frage 9). 


15. Welche Erkenntnisse hat die Bundesregiemng über den Hackerangriff auf 
das Unternehmen VTech Electronics Europe GmbH und über die Auswir- 
kungen für deutsche Verbraucherinnen und Verbraucher? 

17. Hat die Bundesregiemng Erkenntnisse über die Urheber der Attacke und 
wozu diese die Daten verwenden wollen? 

18. Welche Stelle in der Bundesregierung hat sich mit dem Vorfall beschäftigt? 

20. Zieht die Bundesregiemng hieraus Schlüsse für ihre Cyber-Sicherheitsstra- 
tegie, und wenn ja, welche? 

Die Fragen 15, 17, 18 und 20 werden zusammen beantwortet. 

Innerhalb der Bundesregierung liegen keine über die Presseberichte hinausgehen- 
den Erkenntnisse zu dem Vorfall vor. Bislang werden zu dem Vorfall auch keine 
eigenen Ermittlungen angestellt. 


16. Hat es im Zusammenhang mit diesem Angriff eine Information der zustän- 
digen Behörden und/oder bundesdeutscher Nutzerinnen und Nutzer gemäß 
§ 42a BDSG gegeben, und wenn nein, weshalb nicht? 

Ob es eine Information im Sinne der Fragestellung gab, entzieht sich der Kenntnis 
der Bundesregierung. Es wird angeregt, sich an die für das Unternehmen V-Tech 
zuständige Landesdatenschutzaufsichtsbehörde zu wenden. 

19. Hat die Bundesregiemng das Unternehmen kontaktiert, um sich über das 
Ausmaß zu informieren, und falls nein, wieso nicht, und falls ja, mit wel- 
chem Ergebnis? 

Nein. Zuständig für Fälle der unrechtmäßigen Kenntniserlangung von Daten sind 
die Landesdatenschutzaufsichtsbehörden (auf die Antwort zu Frage 16 wird ver- 
wiesen). 
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